Wikipedia:パスワードの要件

Wikipedia:利用者アカウントのセキュリティには、強力なパスワード (英語版)に関するよくあるアドバイスが以前から含まれていましたが、英語版ウィキペディアのサービス開始以来14年もの間、パスワードの要件が一切設定されていませんでした。

しかし、2015年の末頃に起きた特権が付与されたアカウントへの不正アクセス事件がきっかけとなり、セキュリティの見直しに関する議論が英語版ウィキペディアで行われました。その結果として特権が付与されたアカウントのパスワードに制限を設けることが合意されましたが、統一ログインでアクセスする他言語版の利用者やオンブス委員などのグローバルグループには適用されないことから、同時にウィキメディア財団によるグローバルポリシーの変更・監査・施行も勧告されました^[1] 。これを受けてメタウィキにてコメント依頼が開かれ、すべてのウィキプロジェクトで、管理者かそれ以上の権限が付与されたアカウントに対しパスワードの要件を設定することが決定されました^[2] 。

さらにその後、WMFセキュリティチームの主導によりパスワードの要件の強化が実施されました^[3] 。 これにより、すべての利用者のパスワードに最小文字数が設定されました^{[注釈 1] [4]} 。

現在のパスワードの要件は、meta:Password policy/jaから確認できます。これは英語版の翻訳であり、齟齬が生じた場合は英語版側が優先される点に留意してください。

特権を持つ利用者がパスワードの要件に違反していることが発覚した場合、準拠するよう修正されたことが確認されるまでの間、その特権が一時的に停止される可能性があります。

そんなことはありません。強力なパスワードやパスワードのセキュリティは、アカウント保護のほんの一部にしかすぎません。特権を持つ利用者はもちろんのこと、すべての利用者が上記の要件以上の対策を講じるべきです。

• パスワードの使いまわしは絶対にしないでください!いくら無作為かつ長いパスワードを設定したところで、脆弱性のある他のサービスで同じパスワードを使っていた場合は、ウィキペディアのアカウントも芋づる式で不正アクセスされる恐れがあります^[5] 。
• ログイン画面のURLが「https://auth.wikimedia.org」から始まっていることを毎回必ず確認してください。このドメインは、すべてのウィキプロジェクトのログイン画面で共通化されています^[6] 。
• ほかの人が触れる可能性がある端末では、離席する度に面倒でもいったんログアウトしましょう。すべてのウィンドウを閉じることで自動的にCookie等を削除するプライベートブラウジング機能も活用できます。
• 少しでも怪しい兆候があれば、すぐにパスワードを再設定するべきです。心当たりがないメールが届いた場合は、メール内のリンクには一切触れず、公式のURLから速やかにパスワードを変更しましょう。
• 二要素認証は現在、所定の利用者グループへの所属やスチュワードへの利用申請により利用資格を獲得したアカウントに開放されています。将来的には、すべての利用者へ展開されることが期待されています。

これらの基本的なセキュリティ対策を守らなかったことが、ここ数年の数多くの不正アクセスを引き起こしてきました。なお、コミット済アイデンティティを事前に表明しておくと、万が一アカウントが乗っ取られてしまった場合にアカウントの所有権を証明する最後の切り札として活用できます。さらなる情報は、WP:SECURITYをご参照ください。

• 草案

• 翻訳直後